Resumen
Hay millones de microprocesadores vulnerables a ataques y eso comprende a los de Intel principalmente, y también de AMD y ARM. Esto es muy grave pues es un problema de hardware.
No sólo cientos de millones de computadoras de mesa se ven afectadas, las falderas, servidores, e incluso teléfonos se ven expuestos.
Los nombres que les dieron a estos agujeros de seguridad son Meltdown y Spectre.
Lo que estas fallas permiten es que sea posible hurtar información de las computadoras.
Programas con pocos privilegios de acceso a memoria, pueden invadir otros espacios que usa el kernel del sistema operativo con elevados privilegios y tomar datos que deberían tener vedados.
Contraseñas, números de tarjetas de crédito, claves de criptografía, fotos, mensajes de correo electrónico, todo es robable.
Pero hasta ahora no se sabe que hayan sido usados en la práctica.
Estaba previsto que esto fuese difundido el 9 de enero, y se filtró antes, hay bastante desorden en la información.
Las novedades cambian día a día, no tomen esto que sigue como definitivo ni solucionado.
Hay quienes dicen que esto es un problema de hardware que sólo se evita con nuevos procesadores que no tengan estos errores de diseño.
Las empresas tratan de mitigar los efectos emparchando los sistemas operativos, están afectados los Windows, Linux e incluso macOS.
Pero hay quienes aclaran que esto no es suficiente. Fuente: la excelente nota Windows, Meltdown and Spectre: Keep calm and carry on
Los parches pueden volver más lentas las computadoras.
Además debería haber más actualizaciones de firmware, o sea del software que está pensado especialmente para controlar el hardware.
Están actualizando navegadores web también para tratar de evitar que sean usados para aprovechar estas vulnerabilidades.
Los antivirus no necesariamente van a proteger de programas que empleen estas fallas de diseño.
No se dejen engañar por los logos lindos que les crearon, todo esto es una enorme pesadilla informática.
Parches para Windows
Microsoft ha dado una información la-men-ta-ble sobre este asunto.
No pude ver guías claras y entendibles para usuarios normales, ni que hagan mención específica a Meltdown y Spectre.
Ojo, los "capos" de microsoft sacaron parches que pueden tener incompatibilidades con antivirus, poner un parche puede generar una pantalla azul de la muerte.
Ellos lo avisan en el artículo Important: Windows security updates released January 3, 2018, and antivirus software, también está en español, y no dan una lista del que puede causar conflictos, ¡qué empresa de m...! Tienen 124000 empleados y no pueden hacer algo que sirva a sus usuarios.
Hay una lista de antivirus compatibles hecha por un particular que es lo que debería haber hecho M$, y está accesible por acá , me enteré gracias a tomsguide.com
(Yo tengo una versión actualizada de Avast gratuito y no tuve problemas con el parche para Windows 7)
Windows 7
Los artículos que parecen tener que ver con estas vulnerabilidades, Meltdown y Spectre son :
KB4056897 del 3 de enero, si usan Windows Update, se puede bajar desde ahí y si como yo prefieren bajarlo y conservarlo, el enlace que ponen para la descarga es este.
Hay dos archivos, de 32 y 66 MB, el segundo por el nombre parece ser para la versión de 64 bits del sistema operativo.
KB4056894 del 4 de enero, de nuevo, los que emplean Windows Update lo tendrán instalado en forma automática, y el enlace que ponen para la descarga es este.
Otra vez hay dos archivos, el de 231 MB parece ser el de la actualización de seguridad mensual para Windows 7 de 64 bits.
(Un detalle en el anteúltimo enlace la fecha es 4 de enero, en el de la descarga con el archivo dice 5... ¿será que lo actualizaron al archivo y no a su anuncio?).
Parches para Windosws 10
El 3 de enero Microsoft sacó actualizaciones de seguridad, estas computadoras deberían actualizarse automáticamente.
Los que empleen Windows 10pía pueden ejecutar Windows Update para ver que estén emparchados.
La actualización refiere al artículo KB4056892, y puede también bajarse a mano desde Microsoft Update Catalog. Todo esto vale para la versión 1709 de Windows 10.
Para otras versiones pueden mirar enlaces para las actualizaciones en The Complete Guide: How to Patch Meltdown and Spectre Vulnerabilities on Windows.
Android
Ayer de Google sacaron una actualización a la que aluden como 2018-01-05 Security Patch Level.
Navegadores web
La falla Spectre puede ser aprovechada empleando Javascript, o sea al usar la web.
Microsoft emparchó Internet Explorer y Edge en Windows 10 en los parches mencionados antes.
Chrome 63 tiene una función experimental llamada Aislamiento de sitio, (Site isolation en inglés), que se activa
escribiendo
://flags/#enable-site-per-process
en la barra de direcciones, y haciendo clic en "habilitar" (enable) al lado de "Aislamiento estricto de sitio" (Strict site isolation).
Firefox 57 fue modificado para reducir la chance de que se usen estos ataques desde la web, según cuentan en el blog oficial y también por acá.
Fuente: pcworld.com en How to protect your PC from the major Meltdown and Spectre CPU flaws y en pcmag.com How to Protect Your Devices Against Meltdown, Spectre Bugs
Mi sensación es que todos están improvisando para ver como evitan las graves consecuencias de estos agujeros de seguridad, y nada de esto es definitivo ni da una solución total .
Las actualizaciones de firmware van a demorar más.
)
